CybersLion

 

NTFS Alternate Data Streams (ADS) — उपकरण, उपयोग और प्रैक्टिकल अभ्यास

1. संक्षेप में: ADS क्या हैं?

NTFS में हर फाइल के साथ एक मुख्य डेटा स्ट्रीम होती है; Alternate Data Streams (ADS) एक अतिरिक्त “छिपी” स्ट्रीम जोड़ने का तरीका है (उदा. file.txt:secret)। यह फाइल का आकार नहीं बदलता और सामान्य देखने पर दिखाई नहीं देता। 

2. ADS क्यों खतरनाक हैं?

हमलावर ADS में मलिशियस स्क्रिप्ट, एक्ज़ीक्यूटेबल या संवेदनशील डेटा छिपा कर एंटीवायरस और साधारण स्कैन से बच सकते हैं। इसलिए ADS की पहचान और निगरानी जरूरी है। 

---

3. मुख्य उपकरण (और कब इस्तेमाल करें)

• Sysinternals Streams.exe — तेज़ CLI स्कैनर; सूची बनाना और डिलीट करने के काम आता है। 

• PowerShell (Get-Item -Stream) — बिल्ट-इन और स्क्रिप्टेबल; फॉरेंसिक व हंटिंग में उपयोगी। 

• NirSoft AlternateStreamView — GUI-आधारित स्कैन और एक्सपोर्ट; रिपोर्ट बनाने में सुविधाजनक। 

• Forensic Suites (EnCase/FTK/TSK) — डीप फाइल सिस्टम विश्लेषण और कोर्ट-एडमिसिबल साक्ष्य। 

---

4. व्यावहारिक आदेश (उदाहरण)

• Streams recursive रिपोर्ट:

streams -s C:\Users\Public > C:\temp\streams_report.txt

• PowerShell से स्ट्रीम पढ़ना:

Get-Item C:\temp\example.txt -Stream *
Get-Content -Path C:\temp\example.txt -Stream secret

• NirSoft: GUI में ड्राइव चुनें → सभी स्ट्रीम दिखेंगे → CSV/HTML में सेव करें। 

---

5. प्रैक्टिकल लैब (सुरक्षित अभ्यास)

1. आइसोलेटेड VM बनाएं और स्नैपशॉट लें।

2. readme.txt बनाएं और उसमें evil नामक स्ट्रीम जोड़ें (PowerShell)।

3. streams -s चला कर पुष्टि करें और फिर Get-Content -Stream से एक्सट्रैक्ट करें। कभी भी होस्ट पर मालवेयर न चलाएँ। 

---

6. निष्कर्ष और सर्वोत्तम अभ्यास

ADS छिपने के लिए एक प्रभावी तकनीक हैं—इसलिए नियमित स्कैन, SIEM/EDR के साथ इंटीग्रेशन, और फॉरेंसिक-लेवल संग्रह ज़रूरी है। Sysmon के साथ ADS-विशेष नियम बनाएं और महत्वपूर्ण सर्वरों पर आवधिक streams/PowerShell स्कैन शेड्यूल करें।